O GitHub lançou correções para resolver uma falha de gravidade máxima no GitHub Enterprise Server (GHES) que poderia permitir que um atacante ignorasse as proteções de autenticação.

Identificado como CVE-2024-4985 (pontuação CVSS: 10,0), o problema poderia permitir acesso não autorizado a uma instância sem exigir autenticação prévia.

“Nas instâncias que usam autenticação de login único (SSO) SAML com a opção de recursos de assertivas criptografadas, um atacante poderia falsificar uma resposta SAML para provisionar e/ou obter acesso a um usuário com privilégios de administrador”, disse a empresa em um aviso.

GHES é uma plataforma auto-hospedada para desenvolvimento de software, permitindo que organizações armazenem e construam software usando controle de versão Git, bem como automatizem o pipeline de implantação.

O problema afeta todas as versões do GHES anteriores à 3.13.0 e foi abordado nas versões 3.9.15, 3.10.12, 3.11.10 e 3.12.4.

O GitHub também observou que as assertivas criptografadas não são habilitadas por padrão e que a falha não afeta instâncias que não utilizam autenticação de login único (SSO) SAML ou aquelas que usam autenticação de login único (SSO) SAML sem assertivas criptografadas.

As assertivas criptografadas permitem aos administradores do site melhorar a segurança de uma instância GHES com SAML SSO criptografando as mensagens que o provedor de identidade SAML (IdP) envia durante o processo de autenticação.

Organizações que estão usando uma versão vulnerável do GHES são recomendadas a atualizar para a última versão para se proteger contra possíveis ameaças à segurança.